如何申請Let's Encrypt通配符HTTPS證書

如何申請Let’s Encrypt通配符HTTPS證書

引言

在當今互聯網環境中，HTTPS已經成為網站安全的標準配置。Let’s Encrypt免費、自動化、開放的證書頒發機構（CA），為廣大網站管理員提供了便捷的HTTPS證書申請途徑。特別是其支持的通配符證書（Wildcard Certificate），可以為一個域名及其所有子域名提供HTTPS加密，極大地簡化了證書管理流程。本文將詳細介紹如何申請Let’s Encrypt通配符HTTPS證書。

1. 準備工作

在開始申請之前，確保你已經具備以下條件：

• 一個域名（例如：example.com）
• 對域名的DNS記錄有管理權限
• 一臺運行Linux的服務器
• 基本的命令行操作知識

2. 安裝Certbot

Certbot是Let’s Encrypt官方推薦的客戶端工具，用于自動化證書的申請和管理。首先，我們需要在服務器上安裝Certbot。

2.1 更新系統包

sudo apt update
sudo apt upgrade

2.2 安裝Certbot

sudo apt install certbot python3-certbot-nginx

如果你使用的是Apache服務器，可以安裝python3-certbot-apache。

3. 申請通配符證書

通配符證書的申請需要使用DNS-01挑戰驗證，這意味著你需要通過添加DNS TXT記錄來證明你對域名的控制權。

3.1 獲取DNS API憑證

大多數DNS服務提供商都支持API訪問，你需要獲取API憑證以便Certbot自動添加DNS記錄。以Cloudflare為例：

1. 登錄Cloudflare控制臺。
2. 進入“My Profile” -> “API Tokens”。
3. 點擊“Create Token”，選擇“Edit zone DNS”模板。
4. 選擇你要管理的域名，生成API Token。

3.2 配置Certbot使用DNS插件

Certbot支持多種DNS插件，這里以Cloudflare為例：

sudo apt install python3-certbot-dns-cloudflare

3.3 創建API憑證文件

創建一個文件來存儲你的API憑證：

sudo mkdir -p /etc/letsencrypt/secrets
sudo nano /etc/letsencrypt/secrets/cloudflare.ini

在文件中添加以下內容：

dns_cloudflare_email = your_email@example.com
dns_cloudflare_api_key = your_api_key

保存并退出。

3.4 申請證書

使用以下命令申請通配符證書：

sudo certbot certonly --dns-cloudflare --dns-cloudflare-credentials /etc/letsencrypt/secrets/cloudflare.ini -d example.com -d *.example.com

Certbot會自動完成DNS記錄的添加和驗證，并生成證書文件。

4. 配置Web服務器

證書申請成功后，需要配置Web服務器以使用新證書。

4.1 Nginx配置

編輯Nginx配置文件：

sudo nano /etc/nginx/sites-available/example.com

在server塊中添加以下內容：

listen 443 ssl;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

保存并退出，然后重啟Nginx：

sudo systemctl restart nginx

4.2 Apache配置

編輯Apache配置文件：

sudo nano /etc/apache2/sites-available/example.com.conf

在<VirtualHost>塊中添加以下內容：

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

保存并退出，然后重啟Apache：

sudo systemctl restart apache2

5. 自動續期

Let’s Encrypt證書的有效期為90天，因此需要定期續期。Certbot提供了自動續期功能。

5.1 測試自動續期

sudo certbot renew --dry-run

如果測試成功，Certbot將自動在證書到期前續期。

5.2 設置定時任務

編輯crontab：

sudo crontab -e

添加以下內容：

0 0 * * * /usr/bin/certbot renew --quiet

這將每天午夜檢查并續期即將到期的證書。

6. 常見問題與解決方案

6.1 DNS驗證失敗

• 問題：DNS驗證失敗，通常是因為DNS記錄未正確添加或未及時生效。
• 解決方案：檢查DNS記錄是否正確，并等待DNS傳播完成。

6.2 證書續期失敗

• 問題：證書續期失敗，可能是由于DNS API憑證失效或配置錯誤。
• 解決方案：檢查API憑證文件是否正確，并重新運行續期命令。

6.3 服務器配置錯誤

• 問題：服務器配置錯誤導致HTTPS無法正常工作。
• 解決方案：檢查服務器配置文件，確保SSL證書路徑正確，并重啟服務器。

7. 總結

通過本文的指導，你應該已經成功申請并配置了Let’s Encrypt的通配符HTTPS證書。通配符證書不僅簡化了證書管理流程，還提高了網站的安全性。定期檢查和續期證書是確保網站持續安全運行的關鍵步驟。希望本文對你有所幫助，祝你順利完成HTTPS配置！